ອັບເດດ Flatpak 1.10.2 ແກ້ໄຂຈຸດອ່ອນຂອງ sandbox isolation

ການປັບປຸງການແກ້ໄຂຊຸດເຄື່ອງມືເພື່ອສ້າງແພັກເກັດທີ່ບັນຈຸດ້ວຍຕົນເອງ Flatpak 1.10.2 ແມ່ນມີຢູ່, ເຊິ່ງກໍາຈັດຊ່ອງໂຫວ່ (CVE-2021-21381) ທີ່ອະນຸຍາດໃຫ້ຜູ້ຂຽນຂອງແພັກເກັດທີ່ມີແອັບພລິເຄຊັນຜ່ານຮູບແບບການໂດດດ່ຽວ sandbox ແລະເຂົ້າເຖິງ. ໄຟລ໌ໃນລະບົບຕົ້ນຕໍ. ບັນຫາໄດ້ປະກົດຂຶ້ນນັບຕັ້ງແຕ່ການປ່ອຍ 0.9.4.

ຊ່ອງໂຫວ່ແມ່ນເກີດຈາກຄວາມຜິດພາດໃນການປະຕິບັດຫນ້າທີ່ສົ່ງຕໍ່ໄຟລ໌, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້, ໂດຍຜ່ານການຈັດການໄຟລ໌ .desktop, ເພື່ອເຂົ້າເຖິງຊັບພະຍາກອນໃນລະບົບໄຟລ໌ພາຍນອກທີ່ຖືກຫ້າມບໍ່ໃຫ້ເຂົ້າເຖິງໂດຍແອັບພລິເຄຊັນທີ່ເຮັດວຽກ. ເມື່ອເພີ່ມໄຟລ໌ທີ່ມີແທັກ "@@" ແລະ "@@u" ໃນຊ່ອງ Exec, flatpak ຈະສົມມຸດວ່າໄຟລ໌ເປົ້າຫມາຍທີ່ລະບຸໄວ້ໄດ້ຖືກລະບຸຢ່າງຊັດເຈນໂດຍຜູ້ໃຊ້ແລະຈະ sandbox ເຂົ້າເຖິງໄຟລ໌ເຫຼົ່ານີ້ໂດຍອັດຕະໂນມັດ. ຊ່ອງໂຫວ່ສາມາດຖືກນໍາໃຊ້ໂດຍຜູ້ຂຽນຂອງແພັກເກັດທີ່ເປັນອັນຕະລາຍເພື່ອຈັດລະບຽບການເຂົ້າເຖິງໄຟລ໌ພາຍນອກ, ເຖິງວ່າຈະມີການດໍາເນີນການໃນຮູບແບບການໂດດດ່ຽວ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru